Stop telling people a revoke closes their session on the site

It does not, and saying so is worse than saying nothing. Revoking burns the
Orbit tokens the site holds; the site's own session belongs to the site —
Supabase issues its own JWT and refresh token and never asks Orbit again
when it refreshes. A custom OIDC provider has no back-channel logout, so
there is nothing to implement here, only something to stop claiming.

The failure mode is not cosmetic: on a shared computer, "your session on
that site will close" sends someone away from an open session. The confirm
dialog, the success message, the dashboard card and the consent screen now
state the same true thing, and a test holds the consent screen to it.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

Author: sametbasbug

docs/V6_PROJECT_LEDGER.md

@@ -2285,3 +2285,23 @@ Anything under `docs/archive/` describes an earlier state and is frozen. Read it
   tokens minted — so the server side had completed and the failure had to be in
   the browser's last hop. Checking the database first turned a vague "the screen
   is still there" into a bounded search.
+- The revoke button promised something it cannot deliver, and the promise was
+  the dangerous part. The confirm dialog read "O sitedeki oturumun kapanır" —
+  your session on that site will close. It does not. Revoking burns the Orbit
+  tokens the site holds, and the audit trail records `site.grant_revoked`, but
+  the site's own session is the site's: Supabase mints its own JWT and refresh
+  token and never re-checks Orbit when refreshing. There is no back-channel
+  logout with a custom OIDC provider, so this is not a bug to fix in code — it
+  is a sentence to fix in the interface.
+- Why it matters beyond wording: someone who revokes on a shared computer and
+  reads "your session will close" walks away believing they are signed out. The
+  dialog, the success message, the dashboard card and the consent screen now all
+  say the same true thing — the keys drop immediately, the site session stays
+  open and has to be closed there. A test asserts the consent screen carries the
+  caveat and fails when it is removed.
+- Re-consent after a revoke reuses the same grant row and clears its
+  `revoked_at`, so the row alone cannot tell you a revocation ever happened. The
+  history lives in `audit_events`, which held `site.consent_recorded`,
+  `site.tokens_issued`, `site.grant_revoked`, then a fresh consent and issue —
+  in that order. Worth knowing before anyone reads a live grant row as proof
+  that access was never withdrawn.

scripts/orbit-site-authorization-tests.ts

@@ -973,6 +973,12 @@ describe('Orbit as a sign-in door for other sites', { concurrency: false }, () =
     /* İstenmeyen kapsamın metni sayfaya hiç girmiyor. */
     assert.equal(html.includes('Herkese açık gönderilerin'), false);
     assert.match(html, /@samet/u);
+    /* İptalin NE YAPMADIĞI da ekranda. Panelde "o sitedeki oturumun kapanır"
+     * yazıyordu ve bu yanlıştı: Supabase kendi oturumunu üretiyor, yenilerken
+     * Orbit'e bir daha sormuyor, ve bizim uzaktan kapatma yolumuz yok. Yanlış
+     * söz burada zararsız değil — paylaşılan bir bilgisayarda "kestim, çıktım"
+     * diye kalkan biri açık oturum bırakır. */
+    assert.match(html, /oturumu ayrıca kapatman gerekir/u);
   });
 
   test('a hostile client label cannot inject markup into the consent screen', async () => {

src/pages/dashboard.astro

@@ -226,7 +226,7 @@ import { LEGAL_LAST_UPDATED } from '../data/legal';
              kişinin neyi kestiğini bilmemesi olurdu. -->
         <article id="connected-sites-card" class="dashboard-card account-card section-card">
           <h2>Bağlı siteler</h2>
-          <p class="section-help">Orbit hesabınla giriş yaptığın siteler. Bağlantıyı kesmek o sitedeki anahtarları anında düşürür; sitenin kendi kaydına aldığı bilgileri silmez.</p>
+          <p class="section-help">Orbit hesabınla giriş yaptığın siteler. Bağlantıyı kesmek Orbit’in o siteye verdiği anahtarları anında düşürür ve site Orbit’ten yeni bilgi alamaz. İki şeyi yapmaz: sitedeki oturumunu kapatmaz (oradan ayrıca çıkman gerekir) ve sitenin kendi kaydına aldığı bilgileri silmez.</p>
           <div id="connected-sites" class="dashboard-list"></div>
         </article>
         <div class="truth-note">

src/scripts/dashboard.js

@@ -337,12 +337,17 @@ async function loadConnectedSites() {
       ? ` · son giriş ${new Date(site.lastUsedAt).toLocaleDateString('tr-TR')}`
       : '';
     item.innerHTML = `<strong>${escapeHtml(site.label)}</strong><div class="meta">${escapeHtml(since)} tarihinden beri${escapeHtml(lastUsed)} · ${escapeHtml(site.scopes.join(', '))}</div>`;
+    /* Uyarı metni bilerek "oturumun kapanır" DEMİYOR, çünkü kapanmıyor.
+       İptal Orbit'in o siteye verdiği anahtarları düşürüyor; sitenin kendi
+       açtığı oturum bize ait değil ve ona uzaktan dokunamıyoruz. Eski metin
+       kapandığını söylüyordu ve bu, paylaşılan bir bilgisayarda "kestim,
+       çıktım" diye kalkan birini açık oturumla bırakır. */
     item.append(actionButton('Bağlantıyı kes', async () => {
-      if (!window.confirm(`${site.label} bağlantısı kesilsin mi? O sitedeki oturumun kapanır.`)) return;
+      if (!window.confirm(`${site.label} bağlantısı kesilsin mi? Orbit'in o siteye verdiği anahtarlar hemen düşer ve site Orbit'ten yeni bilgi alamaz. Sitedeki oturumun açık kalır; oradan ayrıca çıkman gerekir.`)) return;
       try {
         await mutate(`/v1/me/connected-sites/${encodeURIComponent(site.id)}/revoke`);
         await loadConnectedSites();
-        flash('Site bağlantısı kesildi.');
+        flash('Bağlantı kesildi. Sitedeki oturumun varsa oradan ayrıca çıkman gerekir.');
       } catch (error) { flash(error.message, 'error'); }
     }, 'danger'));
     host.append(item);

src/server/http/site-consent-page.ts

@@ -233,7 +233,7 @@ ${details}
 </form>
 
 <p class="fine">İzni Orbit panelindeki <strong>bağlı siteler</strong> bölümünden
-geri alabilirsin.</p>
+geri alabilirsin; sitedeki oturumu ayrıca kapatman gerekir.</p>
 </main>
 </body>
 </html>`;